jquery35-local-agent

在隔离网络中仅靠 Node.js 运行的 jQuery CVE-2020-11023 修复自动化工具 （适用于遗留 Java/Spring/JSP 项目 · 无需 npm install · 无需互联网 · 零外部依赖）

在需要将旧版遗留 Web（Spring/JSP 系列 + jQuery 1.x）中的 jQuery 升级到 3.5+ 时，可在本地完成全流程： 全量静态分析 → 安全自动修复（生成 TO-BE）→ jQuery 3.5.1 + Migrate 替换 → 面向界面的 Runtime Probe → mock Lab 服务器 → AI 判定包 → 上线前门禁检查 → 报告。

特点

• 原始文件不修改原则 — 所有变更仅在 --target TO-BE 文件夹中生成。通过 report/index.html 的文件点击 AS-IS/TO-BE split diff 确认后再反映。
• 降低误报的扫描器 — 不是简单的正则表达式，而是令牌掩码（去除注释/字符串/正则表达式）+ 接收者链回溯 + 括号平衡参数解析器 + 文件内 taint 追踪（ajax 回调参数 → DOM sink 提升）+ 全项目调用点类型推断（AutoInferred）。
• 仅自动修复安全项 — 仅限 .bind→.on、.size()→.length、布尔 .attr→.prop 等在 jQuery 1.x/3.x 两侧均可工作的预防性变更。像 .html(response) 这样的 XSS 候选绝不自动修复，仅进行分类。
• 应对封闭网络/老旧环境 — 用于 Edge IE mode（开发者工具受限）的 ES5 Runtime Probe、EUC-KR 文件字节保留（latin1 round-trip）、无需 npm 直接生成 CSV/XLS 报告。
• 默认 jQuery 运行时捆绑 — patch-jquery 会自动将 jquery-3.5.1.min.js 和 jquery-migrate-3.6.0.min.js 放置到 TO-BE 树中，因此默认组合无需单独准备文件即可运行。未压缩的 jquery-migrate-3.6.0.js 也一并包含，用于临时 Tracing/debug。
• AI 审查包（review-pack） — 仅挑选模糊的代码位置（函数名 + 前后几行，字符串/注释/正则表达式被掩码），与外部 AI 像二十问一样反复学习的循环。只要弄清公司专用公共函数（如 AJAX 包装器等）中某一个的作用，该知识就会传播到整个调用处。学到的知识绝不触发自动修复，仅影响分类。
• Hermes 本地检查包（hermes-pack） — 与外部 AI 提问分开，生成每个 CASE 的静态确认点、本地 Probe/Lab 测试、通过/失败标准、project-profile 反映模板、CASE 级模拟试验场网页。用于在封闭网络内积累反复检查知识的组件包。
• 公开分发用 rulepack — 将 web 根候选、Probe 插入提示、供应商建议、mock 默认响应分离到 rules/*.json。每个分发点无需修改 JS 代码，仅更换规则包即可调优。
• Java/Spring 静态证据 — 不启动 Spring，读取 @RequestMapping 系列和 XML 配置，生成 ajaxToServerMap.csv、serverEndpoints.csv、hermes_server_evidence.json，并在 mock route 上附加控制器提示。
• Runtime 验证场景 — 将 JSP/HTML 的 id/class/name/按钮文本与 JS selector 匹配，在 runtime_scenarios.html 中生成 1 网 code-only/static、2 网 Chrome smoke、Edge IE mode final sample 确认动作。
• Runtime Parity 分析 — 分离 Local Lab/mock 结果可信程度，报告 LOCAL_LAB_OK、CHROME_SMOKE_REQUIRED、IE_FINAL_SAMPLE_REQUIRED 通道，并生成 runtime_parity.html、runtimeParity.csv、ieModeRisk.csv。
• 可选 Runtime Lab 模板 — public ZIP 中不包含 Docker/JDK/Tomcat/WAR，仅提供可在 Codex/本地 PC 上搭载 WAR 进行实验的 runtime-lab/ 脚手架。
• Voyager/AI 判定复制粘贴包 — 针对无法传递 CSV 文件的封闭网络情况，在 voyager_packet.txt 中压缩摘要/场景/selector/AJAX，在 ai_verdict_packet.txt 中以 1000 字以内压缩“人工检查充分/需要额外运行时/需要审查 IEDriver”的判断问题。
• 封闭网络分发产物 — 通过 airgap_manifest.json/txt 留下无依赖/无通信证明，并通过 --mode release-zip 生成公开分发用 ZIP。
• 本地 Web 控制台 — 通过 실행0_웹대시보드.bat 或 --mode ui 在浏览器中处理路径 Browse、自动路径计算、plan/autofix/patch/Hermes/report 流水线、Local Lab、打开现有报告 HTML。
• 聚合/审查仪表板 — 在 index.html 中先查看按类型划分的图表（如 event-shortcut-load 等）以及按目录 depth 的分布，点击文件时以模态框对比 AS-IS/TO-BE 周边代码。
• 内置自验证 — --mode self-test 会创建临时示例项目并验证整个周期。v5.6.10 包含 source-only 自动设置、S1~S11 Web 控制台步骤名、路径/类型聚合、AS-IS/TO-BE 换行保留自动修正、捆绑 jQuery 自动部署、old core 文件清理、基于 UI 元素的运行时场景、code-only/Chrome smoke/IE final sample Runtime Parity、Voyager/AI 判定复制粘贴包生成。

快速开始

node run-jquery35-v5.js --mode self-test

node run-jquery35-v5.js --mode ui --port 18088

node run-jquery35-v5.js --source "C:\work\legacy-app" --target "C:\work\legacy-app_jquery35_tobe" --report "C:\work\jquery35_report_v5" --mode plan

浏览器控制台在 http://127.0.0.1:18088/ 打开。在此只需浏览或输入 source，TO-BE/report/profile/server-source/verify-source 的默认路径就会自动推算，然后运行各个 S1~S11 阶段或 Pipeline 即可。 如果更习惯命令行方式，可打开 report\index.html 仪表板查看现状，并按 README_FIRST.txt 中的顺序（分析 → 自动修复 → jQuery 替换 → Probe → Lab → verify-clean）依次执行。 Windows 用户请仅修改随附的 실행0_웹대시보드.bat ~ 실행9_배포ZIP생성.bat 顶部的路径后运行。

在公开分发或应用到其他现场时，请复制 project-profile.public.sample.json 并创建为 project-profile.json，如有需要，仅修改 rules/public-defaults.json、rules/vendor-compat.json、rules/mock-defaults.json 即可。

node run-jquery35-v5.js --report ".\release" --mode release-zip

文档

• README_KO.md — 完整手册（判定标准、模式说明、Git/CI 流程、FAQ）
• VENDOR_COMPAT_KO.md — 供应商兼容性简报：jqGrid/jQuery UI/select2/autoNumeric 的 jQuery 3.x 兼容版本、jQuery UI 自身的 CVE、Migrate 无法恢复的行为变化（自闭合标签等）
• RUN_EXAMPLES_KO.txt — 命令示例合集
• README_FIRST.txt — 快速开始

文档中的所有路径（如 C:\work\legacy-app 等）均为示例。请替换为实际项目路径使用。

要求

Node.js 16+ minimum, Node.js 18+ recommended. 仅此而已。

许可证

MIT